【社论】学生信息泄露，谨防“内鬼”作案

近期，四川、山西等地公安机关接连破获非法倒卖学生个人信息大案，引发广泛关注。据央视新闻披露，在山西太原一起案例中，在教培机构任职的王某杰为完成招生指标，向多家眼科医院和学校工作人员购买大量学生信息；在四川峨眉山市一起案例中，某校副校长黄某和同校招生办主任吴某、某职业学院招生办主任何某等成为“中间商”。

学生信息沦为地下交易商品，不仅让无数家庭饱受骚扰电话、垃圾短信侵扰，更埋下了电信诈骗的重大隐患，其危害性无需赘言。当副校长、招生办主任沦为倒卖学生信息的“内鬼”，这样的情节实在令人愤怒、心痛。同时也有些许困惑：他们为什么敢这么做？为什么能这么做？

作为学校管理人员，校长、招生办主任等手握数据权限，本该是学生隐私的守护者，却把职务便利当作牟利工具，把海量学生信息当作交易筹码，既触犯刑事法律，也透支公众对于教育机构的信任。

一方面，司法机关对这些“内鬼”要依法依规从重处罚，并通过案例公开在社会上建立广泛的威慑力。我国刑法第二百五十三条明确规定：违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，从重处罚。也就是说，“内鬼”的量刑本就比一般违法人员重。

另一方面，“内鬼”之所以敢倒卖学生信息，一定程度上是因为存在侥幸心理。而这种侥幸心理，又来自于学校对学生个人信息缺乏敏感性，疏于管理。很多学校只重视学生信息收集归档，却忽视内部权限管控。学生数据库批量导出、拷贝缺少审批留痕，不同岗位之间权限边界模糊，部分管理人员可以不受约束地获取完整学生名录，为监守自盗留下了可乘之机。

因此，有必要强调，筑牢校园数据安全防线，学校是第一责任主体，必须从案件中查找漏洞、总结教训，从源头扎牢篱笆。比如，学校应当建立分级授权管理制度，落实“最小权限、操作留痕”原则，严格管控学生信息批量导出、复制行为，每一次大规模数据调取都要履行审批登记，操作全程留痕可追溯。

今年是个人信息保护法实施五周年。近年来，国家多部门持续开展个人信息保护专项整治行动，教育领域往往涉及未成年人的个人信息保护，更是重中之重。上述案例也反映出，监管部门正在紧盯掌握海量数据的学校、教培机构、医疗机构等单位，力图从源头上建立防护之网。

数字时代，校园安全早已不限于人身、财产安全，个人信息安全同样是不可忽视的一环。办好教育，既要守护学生课堂之上的成长，也要守护数字空间里的隐私安宁。堵住“内鬼”作案的漏洞，斩断倒卖学生信息黑色产业链的“链头”，为学生撑起一张坚实而细密的信息保护网，该行动起来了。